Passkeys + डिवाइस इंटेलिजेंस: स्तरित अकाउंट टेकओवर रक्षा

Passkeys पिछले एक दशक में उपभोक्ता ऑथेंटिकेशन में सबसे महत्वपूर्ण सुधार हैं, और उद्योग में इनके इर्द-गिर्द जो फ़्रेमिंग है वह सूक्ष्म रूप से भ्रामक है। फ़्रेमिंग यह है कि passkeys अकाउंट टेकओवर को "हल" कर देते हैं। वे इसे हल नहीं करते — वे इसकी एक श्रेणी को समाप्त करते हैं, सबसे बड़ी और सबसे अधिक स्वचालित होने योग्य श्रेणी, और ऐसा करते हुए वे हमलावरों को अकाउंट लाइफ़साइकल के उन हिस्सों की ओर धकेलते हैं जिन्हें passkeys संरचनात्मक रूप से सुरक्षित नहीं कर सकते।

यह लेख उन सुरक्षा आर्किटेक्ट और प्रोडक्ट सिक्योरिटी टीमों के लिए है जो passkeys तैनात कर रहे हैं और जो एक स्पष्ट नक्शा चाहते हैं कि passkeys क्या ढकते हैं, क्या उजागर छोड़ते हैं, और डिवाइस इंटेलिजेंस की परत कहाँ फ़िट होती है। थीसिस यह है: passkeys और डिवाइस इंटेलिजेंस पूरक हैं। Passkeys ऑथेंटिकेशन को मज़बूत करते हैं; डिवाइस इंटेलिजेंस उसके इर्द-गिर्द की हर चीज़ को सुरक्षित करता है।

Passkeys वास्तव में क्या ठीक करते हैं

Passkeys साझा सीक्रेट को पूरी तरह हटाकर क्रेडेंशियल चोरी को ठीक करते हैं। फ़िश करने के लिए कोई पासवर्ड नहीं, साइटों के बीच पुनः उपयोग करने के लिए कोई पासवर्ड नहीं, किसी ब्रीच डंप में पड़ा हुआ कोई पासवर्ड नहीं जो स्टफ़ किए जाने का इंतज़ार कर रहा हो। यह एक ही कदम में सबसे बड़े अकाउंट टेकओवर हमला-सतह को बंद कर देता है।

यांत्रिक रूप से, passkey WebAuthn और FIDO2 मानकों का उपयोग करके प्रति साइट बनाई गई एक सार्वजनिक-निजी कुंजी जोड़ी है। निजी कुंजी कभी भी उपयोगकर्ता के डिवाइस (या उनके सिंक किए गए क्रेडेंशियल प्रदाता) से बाहर नहीं जाती; साइट केवल सार्वजनिक कुंजी संग्रहीत करती है। ऑथेंटिकेशन एक क्रिप्टोग्राफिक चैलेंज-रिस्पॉन्स है: साइट एक चैलेंज भेजती है, डिवाइस उसे निजी कुंजी से हस्ताक्षरित करता है, साइट सार्वजनिक कुंजी से सत्यापित करती है। तार के पार कुछ भी पुनः उपयोग करने योग्य नहीं जाता।

इससे दो गुण निकलते हैं, और ATO के लिए यही मायने रखते हैं:

फ़िशिंग प्रतिरोध। Passkey क्रिप्टोग्राफिक रूप से साइट के ऑरिजिन से बँधा होता है। जो उपयोगकर्ता किसी नक़ली दिखने वाले फ़िशिंग डोमेन पर पहुँचता है वह वहाँ अपना passkey प्रस्तुत नहीं कर सकता — ब्राउज़र उसे पेश ही नहीं करेगा, क्योंकि ऑरिजिन मेल नहीं खाता। यह पूरी रीयल-टाइम फ़िशिंग प्रॉक्सी श्रेणी (Evilginx-शैली के हमले) को हरा देता है जो वन-टाइम-कोड MFA को बेकार बना देती है। क्रेडेंशियल को ग़लत गंतव्य तक रिले किया ही नहीं जा सकता।

बड़े पैमाने पर चुराने के लिए कोई साझा सीक्रेट नहीं। निकालने के लिए हैश किए गए पासवर्ड का कोई डेटाबेस नहीं, ख़रीदने के लिए कोई क्रेडेंशियल सूची नहीं, क्रेडेंशियल स्टफ़िंग के लिए कोई सामग्री नहीं। स्वचालित पासवर्ड हमलों का अर्थशास्त्र इस पर निर्भर करता है कि चुराए गए क्रेडेंशियल सस्ते और पुनः उपयोग करने योग्य हों; passkeys उन्हें अस्तित्वहीन बना देते हैं।

जिन फ़्लो को passkey वास्तव में नियंत्रित करता है — एक उपयोगकर्ता जो उस डिवाइस पर साइन इन कर रहा है जिसमें पहले से उसका passkey मौजूद है — के लिए यह लगभग जलरोधक है। अगर आपका पूरा उपयोगकर्ता आधार केवल उन डिवाइसों पर passkeys के साथ ऑथेंटिकेट करता जिनके वे पहले से मालिक हैं, तो क्लासिक ATO प्लेबुक मर चुका होता।

यह वह दुनिया नहीं है जिसमें कोई वास्तविक सेवा संचालित होती है।

वह हमला-सतह जिसे passkeys नहीं ढकते

Passkeys ऑथेंटिकेशन इवेंट को सुरक्षित करते हैं। अकाउंट टेकओवर ऑथेंटिकेशन इवेंट तक सीमित नहीं है — यह पूरे अकाउंट लाइफ़साइकल को निशाना बनाता है, और उस लाइफ़साइकल का अधिकांश हिस्सा passkey के नियंत्रण से बाहर बैठता है। चार खामियाँ मायने रखती हैं।

अकाउंट रिकवरी। यही सबसे बड़ी है। हर सेवा को उस उपयोगकर्ता के लिए एक तरीका चाहिए जिसने अपना डिवाइस खो दिया हो ताकि वह वापस अंदर आ सके। वह रिकवरी पथ — ईमेल लिंक, SMS कोड, सुरक्षा प्रश्न, बैकअप कोड, हेल्प-डेस्क सत्यापन — परिभाषा के अनुसार passkey के बिना ऑथेंटिकेट करने का एक तरीका है। जो हमलावर passkey को नहीं हरा सकता वह इसके बजाय रिकवरी फ़्लो पर हमला करता है, और रिकवरी फ़्लो आमतौर पर उस प्राथमिक ऑथ से कहीं कमज़ोर होते हैं जिसे वे दरकिनार करते हैं। "SMS कोड द्वारा रीसेट" फ़ॉलबैक वाली passkey तैनाती में एक फ़िश करने योग्य, SIM-स्वैप करने योग्य पिछला दरवाज़ा होता है, चाहे सामने का दरवाज़ा कितना भी मज़बूत हो।

डिवाइस एनरोलमेंट। किसी अकाउंट में नया passkey जोड़ना एक अकाउंट-संशोधन क्रिया है, और अगर कोई हमलावर अपने डिवाइस का passkey एनरोल कर सकता है, तो अब उसके पास स्थायी वैध पहुँच है। एनरोलमेंट आमतौर पर किसी मौजूदा ऑथेंटिकेटेड सेशन द्वारा नियंत्रित होता है — जिसका अर्थ है कि यह उन कमज़ोरियों को विरासत में लेता है जिनसे वह सेशन स्थापित हुआ, जिसमें ऊपर वाला रिकवरी फ़्लो भी शामिल है। नया-passkey-एनरोल-करना "फ़ॉरवर्डिंग नियम जोड़ने" का आधुनिक समकक्ष है: शांत, स्थायी, और आसानी से छूट जाने वाला।

सेशन हाईजैकिंग। Passkeys ऑथेंटिकेट करते हैं; वे निरंतर पुनः ऑथेंटिकेट नहीं करते। एक बार जब उपयोगकर्ता साइन इन कर लेता है, तो परिणामी सेशन टोकन किसी भी अन्य की तरह एक बियरर क्रेडेंशियल होता है। इसे चुरा लें — मैलवेयर, दुर्भावनापूर्ण एक्सटेंशन, समझौता किए गए डिवाइस, या टोकन-निष्कर्षण हमले के ज़रिए — और आपके पास passkey को छुए बिना ही ऑथेंटिकेटेड सेशन होता है। लॉगिन की मज़बूती उसके बाद के एक घंटे की सुरक्षा के बारे में कुछ नहीं कहती।

अनएनरोल्ड लंबी पूँछ। Passkey को अपनाना वास्तविक है पर आंशिक। किसी भी उपभोक्ता उपयोगकर्ता आधार का एक सार्थक हिस्सा passkey नहीं रखेगा: पुराने डिवाइस, साझा या कॉर्पोरेट मशीनें, वे उपयोगकर्ता जिन्होंने प्रॉम्प्ट को खारिज कर दिया, वे उपयोगकर्ता जो इसे नहीं समझते। उन सभी अकाउंट में अभी भी पासवर्ड-आधारित या कोड-आधारित पथ होता है, और हमलावर ठीक उसी पथ पर केंद्रित होते हैं। कोई सेवा उतनी ही सुरक्षित है जितना उसका सबसे कमज़ोर उपलब्ध ऑथेंटिकेशन तरीक़ा, और अनएनरोल्ड पूँछ के लिए वह तरीक़ा पुराना वाला है।

चारों में समान पैटर्न: मज़बूत ऑथेंटिकेशन अकाउंट पर कब्ज़ा करने के प्रोत्साहन को नहीं हटाता, यह हमले को स्थानांतरित करता है। यह 2026 ATO परिदृश्य का सुसंगत सबक है — जैसे-जैसे हर वेक्टर मज़बूत होता है, हमलावर अगले-सबसे-कमज़ोर की ओर बहते हैं। Passkeys लड़ाई को लॉगिन फ़ॉर्म से रिकवरी फ़्लो, एनरोलमेंट चरण, और लॉगिन-के-बाद के सेशन की ओर ले जाते हैं।

डिवाइस इंटेलिजेंस खामियों को क्यों ढकता है

डिवाइस इंटेलिजेंस passkey की खामियों को इसलिए ढकता है क्योंकि यह एक अलग धुरी पर काम करता है: passkeys पूछते हैं "क्या यह उपयोगकर्ता सही कुंजी रखता है," डिवाइस इंटेलिजेंस पूछता है "क्या यह वही डिवाइस और संदर्भ है जिसकी हम इस अकाउंट के लिए, हर क्रिया पर, अपेक्षा करते हैं।" दूसरा प्रश्न तब भी उत्तर देने योग्य है जब कोई passkey प्रयोग में न हो — जो ठीक वही स्थिति है रिकवरी, एनरोलमेंट, और अनएनरोल्ड पूँछ में।

तंत्र एक स्थायी डिवाइस पहचान है: ब्राउज़र, हार्डवेयर, नेटवर्क, और व्यवहारिक संकेतों से बना एक स्थिर पहचानकर्ता जो किसी संग्रहीत क्रेडेंशियल पर निर्भर हुए बिना सेशनों के पार लौटने वाले डिवाइस को पहचानता है। (वह पहचानकर्ता कैसे बनता है और साफ़ किए गए कुकीज़ के बावजूद क्यों बचा रहता है, यह डिवाइस फ़िंगरप्रिंटिंग कैसे काम करती है में शामिल है।) उस पहचान को किसी अकाउंट के इतिहास से जोड़ने के साथ, चारों खामियों में से प्रत्येक को एक नियंत्रण मिलता है जो passkeys प्रदान नहीं कर सकते।

ज्ञात डिवाइसों से बँधी रिकवरी। जब कोई रिकवरी प्रयास आता है, तो डिवाइस इंटेलिजेंस एक ऐसे प्रश्न का उत्तर देता है जिसका उत्तर रिकवरी फ़्लो अन्यथा नहीं दे सकता: क्या यह रिकवरी किसी ऐसे डिवाइस से शुरू की जा रही है जिसे इस अकाउंट ने कभी इस्तेमाल किया हो? किसी नए देश में डेटा-सेंटर IP पर एक बिल्कुल नए डिवाइस से रिकवरी उपयोगकर्ता के सामान्य लैपटॉप से रिकवरी की तुलना में श्रेणीगत रूप से अधिक जोखिम भरी है। वह संकेत आपको रिकवरी फ़्लो को स्तरित करने देता है — ज्ञात डिवाइस से हल्का सत्यापन, अज्ञात डिवाइस से भारी सत्यापन (या रोक) — बजाय इसके कि हर किसी पर वही कमज़ोर SMS जाँच लागू की जाए।

डिवाइस भरोसे द्वारा नियंत्रित एनरोलमेंट। नया passkey एनरोल करने के अनुरोध को डिवाइस इतिहास के सामने स्कोर किया जा सकता है। उपयोगकर्ता के स्थापित डिवाइस से passkey एनरोल करना अपेक्षित है। किसी ऐसे डिवाइस से एनरोल करना जो कुछ मिनट पहले प्रकट हुआ, किसी रिकवरी इवेंट के तुरंत बाद, किसी संदिग्ध नेटवर्क से — यह किसी अकाउंट के हड़पे जाने का हस्ताक्षर है। डिवाइस इंटेलिजेंस उस एनरोलमेंट अनुरोध को अदृश्य होने के बजाय सुपाठ्य बना देता है।

निरंतर, लॉगिन-के-बाद सेशन स्कोरिंग। क्योंकि डिवाइस पहचान का मूल्यांकन हर अनुरोध पर होता है, न कि केवल लॉगिन पर, इसलिए ऐसा सेशन जो एक डिवाइस पर शुरू होता है और दूसरे पर जारी रहता है — कहीं और रिप्ले किए जा रहे चुराए गए टोकन का फ़िंगरप्रिंट — पहचाना जा सकता है। सेशन के बीच में डिवाइस या नेटवर्क संदर्भ का ऑथेंटिकेटेड डिवाइस से दूर हट जाना एक हाईजैक संकेत है जिसे सामने के दरवाज़े की ऑथेंटिकेशन मज़बूती की कोई मात्रा नहीं पकड़ सकती। यह ज़ीरो-ट्रस्ट डिवाइस सत्यापन सिद्धांत है: भरोसे का निरंतर मूल्यांकन होता है, दरवाज़े पर एक बार नहीं दिया जाता।

अनएनरोल्ड के लिए कवरेज। जिन उपयोगकर्ताओं ने कभी passkey नहीं अपनाया, उनके लिए डिवाइस इंटेलिजेंस वह परत है जो काम कर रही है — उनके ज्ञात डिवाइस को पहचानना और वैध लॉगिन को कम घर्षण के साथ जाने देना, जबकि क्रेडेंशियल-स्टफ़िंग और अज्ञात-डिवाइस प्रयासों को चिह्नित करना जो ठीक इसी आबादी को निशाना बनाते हैं। आंशिक passkey अपनाने से सबसे अधिक उजागर उपयोगकर्ता वही हैं जिनकी डिवाइस इंटेलिजेंस सबसे सीधे रक्षा करता है।

मुख्य सूत्र: passkeys एक क्षण में कुंजी के कब्ज़े को साबित करते हैं; डिवाइस इंटेलिजेंस हर क्षण में डिवाइस और व्यवहारिक संदर्भ स्थापित करता है। पहले की खामियाँ ठीक दूसरे का क्षेत्र हैं।

व्यवहार में दोनों परतें कैसे मिलती हैं

स्तरित तैनाती में, passkeys और डिवाइस इंटेलिजेंस समानांतर चलते हैं, प्रत्येक उन निर्णयों के लिए आधिकारिक जिनके लिए वह उपयुक्त है, एकल जोखिम चित्र को पोषित करते हुए।

लॉगिन पर, जहाँ passkey मौजूद हो वह मज़बूत प्राथमिक कारक है — फ़िशिंग-प्रतिरोधी, कोई साझा सीक्रेट नहीं। डिवाइस इंटेलिजेंस उसके साथ-साथ चलता है, चुपचाप पुष्टि करता है कि डिवाइस ज्ञात है और संदर्भ सामान्य है। किसी पहचाने गए डिवाइस से passkey लॉगिन के लिए, यह अदृश्य है: उपयोगकर्ता साइन इन करता है, कुछ भी प्रॉम्प्ट नहीं करता। डिवाइस संकेत तभी परामर्श किया जाता है जब वह अपेक्षा से असहमत हो।

रिकवरी और एनरोलमेंट पर, जहाँ कोई passkey प्रस्तुत नहीं किया जा रहा है (यही तो इन फ़्लो का पूरा मक़सद है), डिवाइस इंटेलिजेंस प्राथमिक जोखिम इनपुट बन जाता है। स्मार्ट सिग्नल्स का फ़ैसला — ज्ञात डिवाइस, नेटवर्क प्रतिष्ठा, व्यवहारिक संगति — यह तय करता है कि फ़्लो हल्के-से आगे बढ़े, मज़बूत सत्यापन तक बढ़े, या समीक्षा के लिए रुके। यहीं passkey तैनाती के असली पिछले दरवाज़े पर ताला लगता है।

लॉगिन-के-बाद, डिवाइस इंटेलिजेंस निरंतर मूल्यांकन प्रदान करता है। Passkey का काम ऑथेंटिकेशन पर समाप्त हो गया; डिवाइस परत सेशन को उन संदर्भ बदलावों के लिए देखती है जो टोकन चोरी का संकेत देते हैं, और जब डिवाइस संकेत सेशन के बीच में टूटता है तो पुनः ऑथेंटिकेशन को बाध्य कर सकती है।

अनएनरोल्ड के लिए, डिवाइस इंटेलिजेंस लॉगिन पर भी प्राथमिक भार उठाता है, लौटने वाले ज्ञात डिवाइस को क्रेडेंशियल-स्टफ़िंग प्रयास से अलग करता है, जब तक (और अगर) उपयोगकर्ता passkey न अपना ले।

श्रम का विभाजन स्वच्छ है क्योंकि दोनों तंत्र वास्तव में अलग प्रश्नों का उत्तर देते हैं और वास्तव में अलग तरीक़ों से विफल होते हैं। Passkey आपको नहीं बता सकता कि पासवर्ड रीसेट का अनुरोध करने वाला डिवाइस भरोसेमंद है या नहीं; डिवाइस इंटेलिजेंस कुंजी के कब्ज़े का फ़िशिंग-प्रतिरोधी क्रिप्टोग्राफिक प्रमाण प्रदान नहीं कर सकता। एक को दूसरे के बिना तैनात करना एक पूर्वानुमेय छेद छोड़ता है — अकेले passkeys रिकवरी और सेशन फ़्लो को नरम छोड़ते हैं; अकेले डिवाइस इंटेलिजेंस में सामने के दरवाज़े पर क्रिप्टोग्राफिक ऑथेंटिकेशन मज़बूती की कमी होती है।

Passkey रोलआउट के लिए ईमानदार फ़्रेमिंग

अगर आप passkeys रोल आउट कर रहे हैं, तो सटीक आंतरिक संदेश "हमने अकाउंट टेकओवर हल कर लिया" नहीं है। यह है "हमने एक हमला-वेक्टर के रूप में क्रेडेंशियल चोरी को समाप्त कर दिया है, और अब हमें उन फ़्लो को मज़बूत करने की ज़रूरत है जिनकी ओर हमलावर बढ़ेंगे।" वे फ़्लो — रिकवरी, एनरोलमेंट, सेशन, और अनएनरोल्ड पूँछ — वहीं हैं जहाँ ATO प्रयासों का अगला दौर केंद्रित होगा, ठीक इसलिए क्योंकि सामने का दरवाज़ा मज़बूत हो गया। ऐसा passkey रोलआउट जो साथ-साथ रिकवरी को मज़बूत नहीं करता, वह ताले को दरवाज़े से खिड़की पर ले जा रहा है और खिड़की को खुला छोड़ रहा है।

वह मज़बूती ही डिवाइस इंटेलिजेंस परत प्रदान करती है, और यही कारण है कि सबसे मज़बूत ATO मुद्राएँ दोनों को जोड़ती हैं। Passkeys ऑथेंटिकेशन इवेंट को लगभग अपराजेय बना देते हैं। डिवाइस इंटेलिजेंस बाक़ी अकाउंट लाइफ़साइकल को — वे हिस्से जिनकी ओर हमलावर इसलिए मुड़ता है क्योंकि ऑथेंटिकेशन इवेंट अपराजेय हो गया — अवलोकनीय और स्कोर करने योग्य बना देता है।

Tracio उस जोड़ी का डिवाइस इंटेलिजेंस वाला आधा हिस्सा प्रदान करता है: एक स्थायी डिवाइस पहचान जो साफ़ किए गए कुकीज़ और नए सेशनों से बची रहती है, नेटवर्क और व्यवहारिक जोखिम संकेत, और 50ms से कम में लौटाया गया एक फ़ैसला जो रिकवरी, एनरोलमेंट, और निरंतर सेशन जाँचों में प्लग होता है। यह ज्ञात डिवाइसों से passkey लॉगिन के पीछे चुपचाप चलता है और ठीक वहाँ आगे कदम बढ़ाता है जहाँ passkeys नहीं पहुँच सकते।

देखना चाहते हैं कि डिवाइस इंटेलिजेंस उन फ़्लो को कैसे ढकता है जिन्हें आपकी passkey तैनाती खुला छोड़ देती है?

अपना मुफ़्त ट्रायल शुरू करें — 2,500 सत्यापन मुफ़्त, किसी क्रेडिट कार्ड की ज़रूरत नहीं। अपने ऑथेंटिकेशन, रिकवरी, और सेशन आर्किटेक्चर के सामने डिवाइस इंटेलिजेंस का नक्शा बनाने के लिए डेमो बुक करें।